当前位置：首页 > news >正文

SCP-Firmware高危漏洞解析与修复指南

news 2026/5/23 9:16:31

1. SCP-Firmware安全漏洞深度解析：CVE-2024-11863与CVE-2024-11864

最近在SCP-Firmware中发现了两个高危漏洞（CVE-2024-11863和CVE-2024-11864），它们可能允许普通世界（Normal World）的特权软件对系统控制处理器（SCP）发起拒绝服务攻击。作为一名长期从事嵌入式系统安全研究的工程师，我将从技术原理、影响范围到实际修复方案，为你全面剖析这两个漏洞的来龙去脉。

SCP（System Control Processor）是现代SoC架构中的关键安全组件，负责管理电源、时钟、复位等底层硬件资源。一旦SCP崩溃，整个系统将陷入不可预测的状态。这两个漏洞的特别之处在于，攻击者只需通过精心构造的SCMI（System Control and Management Interface）消息，就能触发SCP的Usage Fault导致崩溃。这意味着任何拥有普通世界特权的恶意软件（包括被入侵的驱动程序或用户空间应用）都可能成为攻击入口。

1.1 漏洞技术细节拆解

CVE-2024-11863和CVE-2024-11864虽然表现形式相似，但触发机制有所不同。经过对Arm官方补丁（d4c1a05d和194d97ca）的反向分析，我发现它们的核心问题都出在SCMI消息处理流程的边界条件检查上。

在SCP-Firmware 2.15及更早版本中，当处理特定类型的SCMI消息时，消息解析器未能充分验证以下关键参数：

消息长度字段与实际负载大小的匹配性
指针引用范围的合法性
枚举类型参数的取值边界

攻击者可以构造一个看似合法但实际畸形的SCMI消息，包含以下特征：

声明长度字段大于实际数据区大小
包含超出接收缓冲区范围的指针偏移
使用保留位或非法枚举值

当这类消息到达SCP的消息调度层时，由于缺乏严格的参数校验，会导致两种典型的异常场景：

内存越界访问（触发HardFault）
无效指令执行（触发UsageFault）

关键发现：漏洞利用不需要任何特殊硬件权限，普通世界的EL1（内核态）或EL2（虚拟化层）权限即可完成攻击。这使得漏洞的危险等级显著提升。

1.2 受影响产品范围确认

根据Arm官方公告，受影响的具体版本包括：

SCP-Firmware主线版本：v1.0.0至v2.15.0
所有基于上述版本的OEM定制分支
采用受影响SCP-Firmware的SoC产品（需联系芯片供应商确认）

通过以下命令可以检查当前运行的SCP-Firmware版本：

# 在Linux终端执行（需要root权限） cat /sys/firmware/devicetree/base/arm,scp-firmware/version

如果输出显示版本号≤2.15.0，则系统存在风险。特别需要注意的是，某些OEM厂商可能修改了版本号命名规则，此时需要通过构建哈希值进一步验证。

2. 漏洞修复方案全指南

2.1 官方补丁集成方案

Arm官方提供了两种修复路径，各有适用场景：

方案A：完整版本升级推荐升级到SCP-Firmware v2.16.0或更高版本。这是最彻底的解决方案，包含所有安全增强和改进。升级步骤：

获取新版固件源码：

git clone https://github.com/ARM-software/SCP-firmware.git -b v2.16.0

重新配置并编译：

cd SCP-firmware make -f <your_platform>.mk clean all

刷写固件（具体方法因平台而异）：
```
scp_tool flash scp_rom.bin
```

方案B：最小化补丁应用如果无法立即升级大版本，可以单独应用安全补丁：

# 应用CVE-2024-11863修复 git cherry-pick d4c1a05d # 应用CVE-2024-11864修复 git cherry-pick 194d97ca

补丁主要修改了以下关键文件：

module/scmi/scmi.c：增加消息参数校验逻辑
include/module/scmi.h：完善协议定义
framework/src/clock.c：修复时钟管理相关边界条件

2.2 临时缓解措施

如果短期内无法实施固件更新，可以考虑以下缓解方案：

SCMI访问控制：在TrustZone配置中限制非安全世界对SCMI服务的访问权限，修改TZASC或TZPC设置：
```
// 示例：限制非安全世界访问SCP邮箱 mmio_write_32(TZPC_BASE + 0x810, 0x1);
```
监控异常消息：在SCP日志系统中添加异常消息检测规则，以下正则表达式可识别潜在攻击：
```
SCMI:.*(length=[0-9]{4,}|param=0x[0-9a-f]{8}|reserved_val=[1-9])
```
看门狗增强：配置SCP看门狗在连续收到3次异常消息后触发复位，减少DoS影响：
```
scp_config --wdog_threshold=3 --wdog_action=reset
```

3. 漏洞验证与回归测试

3.1 漏洞存在性验证

开发了一个简易的PoC验证脚本（需在Linux内核模块中执行）：

#include <linux/module.h> #include <linux/io.h> static void __init test_scmi_vuln(void) { void __iomem *mailbox = ioremap(0x1c000000, 0x1000); // 构造畸形SCMI消息 u32 malicious_msg[] = { 0x00010018, // 长度字段异常大 0x00000000, 0xdeadbeef, // 非法指针 0xffffffff // 保留枚举值 }; memcpy_toio(mailbox + 0x100, malicious_msg, sizeof(malicious_msg)); iowrite32(0x1, mailbox + 0x10); // 触发消息处理 iounmap(mailbox); } module_init(test_scmi_vuln);

如果系统出现以下现象，则表明漏洞存在：

SCP日志中出现"UsageFault"错误
系统电源管理功能异常
dmesg显示"scp: communication timeout"

3.2 修复效果验证

补丁生效后，同样的PoC脚本应该产生以下预期结果：

SCP日志记录"Invalid SCMI message detected"
恶意消息被静默丢弃
系统功能保持正常

建议使用以下测试用例进行全面验证：

测试案例	预期结果	验证方法
超长消息	错误返回	检查SCMI_RETURN_INVALID_PARAMETERS
非法指针	拒绝处理	监控SCP日志
保留枚举值	协议错误	验证SCMI_RETURN_NOT_SUPPORTED
正常消息	正确处理	功能测试

4. 深度防御建议

基于这次漏洞事件，我总结出以下嵌入式固件安全实践：

消息协议安全设计原则：
- 采用零信任原则验证所有输入参数
- 实现严格的类型和范围检查
- 对指针参数实施双重验证（地址范围+访问权限）

运行时防护机制：

// 示例：增强型消息验证函数 bool validate_scmi_message(const struct scmi_msg *msg) { // 检查消息长度 if (msg->len > MAX_SCMI_MSG_SIZE) return false; // 验证指针有效性 if (!is_pointer_valid(msg->payload, msg->len)) return false; // 检查枚举值范围 if (msg->command >= SCMI_CMD_MAX) return false; return true; }